¿Qué dominios necesita ArcGIS Online en una lista de permitidos del cortafuegos?
Un mapa toca puntos de conexión de portal, mapa base, datos y almacenamiento. Cree la lista a partir de los requisitos actuales de dominios de Esri, no de una sola respuesta DNS.
Una respuesta DNS le dice a qué se resolvió un nombre de host en el momento en que usted preguntó. No le dice que la dirección sea permanente ni enumera todo lo que toca el mapa. Esa distinción importa sobre todo cuando la salida está restringida a una lista corta que alguien escribió a partir de una única consulta. Empiece por el flujo de trabajo y luego derive la lista de los requisitos actuales del proveedor. El ejemplo recurrente es un cliente GIS empresarial que llega a ArcGIS Online a través de una salida VPN restringida.
Enumere cada componente que toca la operación del mapa
Divida la operación en partes: el portal de la organización y el acceso a elementos, las teselas del mapa base, los servicios alojados de entidades o de análisis y cualquier descarga de elementos. Cada uno puede estar detrás de un punto de conexión distinto. Un mapa que hace referencia a un servicio externo de ArcGIS Enterprise o a un punto de conexión OGC añade una dependencia de la que el equipo de red nunca ha oído hablar. Anótelo todo antes de que alguien presente una solicitud de lista de permitidos. Un componente que falte en ese inventario falla más tarde de una forma que parece un problema de credenciales.
| Component | Example host family | Form | Who owns it |
|---|---|---|---|
| Portal and item access | *.arcgis.com | Wildcard | Esri, under the organization subdomain |
| Basemaps and static tiles | *.arcgisonline.com | Wildcard | Esri |
| Hosted feature and analysis services | *.arcgis.com | Wildcard | Esri, same revision |
| Item downloads and regional storage | storage hosts named in the current revision | Revision-specific | Esri |
| ArcGIS Enterprise service | gis.example.com | FQDN | Your organization |
| OGC or third-party endpoint | provider host | FQDN | The provider |
| Custom domain in front of the portal | maps.example.com | FQDN | Your organization |
The Domain and FQDN Requirements document is where those families come from, and two of them carry most of the workflow: *.arcgis.com covers the organization portal, its items and the hosted services behind them, while *.arcgisonline.com serves basemaps and static tiles. Everything else is organization-specific, because an ArcGIS Enterprise service you host, an OGC endpoint or a custom domain in front of the portal has to be added by name. Take those entries from the same revision you read, since the regional storage hosts change between versions.
Que el inicio de sesión en el portal funcione es una prueba débil. Demuestra que se puede llegar al punto de conexión del portal desde la ruta aprobada, y nada sobre teselas, análisis o descargas.
Elija wildcard o FQDN en el documento actual
Esri publica Domain and FQDN Requirements, y la revisión importa porque las entradas de almacenamiento regional cambian entre versiones. El documento actual ofrece tanto un enfoque de wildcard a nivel de dominio como un inventario más estricto a nivel de nombre de host. También señala los hosts de almacenamiento regional y advierte de que los sistemas externos y los dominios personalizados añaden entradas específicas de la organización. Copie en el registro de cambios la revisión que realmente leyó, con la fecha incluida.
Una lista más estricta cuesta tiempo de mantenimiento; un permiso más amplio cuesta alcance de seguridad. Esa disyuntiva corresponde al propietario de la red, y debería decidirse contra el documento y no contra un conjunto de direcciones que alguien capturó una vez durante una sesión de trabajo.
Mantenga estrecha la opción de mapa base estático
Las preguntas frecuentes sobre el cortafuegos de Esri indican que la entrega acelerada de mapas base puede devolver direcciones dinámicas. La misma entrada documenta un arreglo de IP estática específicamente para mapas base, que abandona la ruta de aceleración y puede reducir el rendimiento. Ninguna de las dos afirmaciones convierte el portal, los datos alojados y los hosts de almacenamiento en una sola dirección estática. Si una política que solo permite direcciones IP es obligatoria, obtenga de Esri el arreglo compatible en lugar de ampliar un rango que haya adivinado.
Una respuesta DNS antigua no es un arreglo compatible, y se pudrirá.
Separe la ruta del permiso
Una ruta VPN selecciona un camino; las reglas de salida deciden si ese camino puede llegar al destino. Son controles distintos, y un túnel sano no dice nada sobre el segundo. Por eso un mapa puede fallar para un usuario en una red y funcionar para otro usuario en la misma cuenta. Compruebe la regla y la ruta por separado antes de culpar al servicio.
Ambos pueden ser correctos mientras el flujo de trabajo sigue fallando, si el inventario está incompleto.
Verifique componente por componente y luego asigne un propietario a la lista
Reproduzca la operación que falla y registre qué componente falló: portal, tesela, servicio de entidades, descarga o un servicio externo. Después cambie un elemento de la política y repita. Un cambio que arregla las teselas no le dice nada sobre los servicios de análisis. Ese registro por componente es también lo que convierte la siguiente actualización regional en un cambio de dependencia en lugar de otra ronda de conjeturas. Revise las URL de diagnóstico antes de pegarlas en cualquier sitio, porque la cadena de consulta puede llevar tokens e identificadores de elementos.
Asigne a la lista de requisitos un propietario y una fecha de revisión ligada a la revisión del documento. Cuando Esri añade una región de almacenamiento o un host de servicio, ese propietario vuelve a ejecutar el inventario en lugar de descubrir el hueco durante un incidente.